cPanel の脆弱性 CVE-2026-65638 が FIX：任意のコード実行の可能性

cPanel Urges Users to Patch ConfigServer Firewall Remote Code Execution Flaw

2026/09/11 gbhackers — ConfigServer Security & Firewall (CSF) の開発元が公表した脆弱性 CVE-2026-65638 は、未認証のリモート攻撃者が MESSENGER サービスを介して任意のコマンドを実行する可能性がある。この脆弱性は CSF 14.00〜16.29 に影響するが、16.30 以降で修正されている。Linux サーバと cPanel／WHM 環境に広く導入されている CSF は、ファイアウォール・ルールの管理／侵入検知／ログイン失敗の監視／セキュリティ処理の自動化などに利用されている。この脆弱性を悪用しても root 権限を取得することはできないが、CSF のサービス・アカウント権限でコマンドが実行される可能性がある。このアクセスは、偵察／データへのアクセス／横展開に加えて、さらなる権限昇格に向けた足掛かりの確立に悪用される可能性がある。

ConfigServer Security & Firewall の任意のコマンド実行の脆弱性

この脆弱性は CSF の MESSENGER サービスに存在する。MESSENGER は、ブロックされたユーザーや訪問者に対してカスタマイズ可能なメッセージを表示するオプション機能であり、MESSENGER サービスが有効になっていて、reCAPTCHA のシークレットが設定されている場合に、この攻撃経路が生じる。

いずれの設定もデフォルトでは有効化されていないため、潜在的に影響を受けるサーバの数は限定される。ただし、カスタムのブロックページ処理／訪問者へのメッセージ表示を目的として MESSENGER を有効にしている管理者は、特にインターネットへ公開されたホスティング基盤において、この問題に早急に対応する必要がある。

アドバイザリによると、リモート攻撃者が脆弱なサービスを悪用する際に認証は不要であるため、共有ホスティング事業者／マネージドサービス事業者／複数の cPanel サーバで CSF を使用する組織にとって、特に重大な脆弱性となる。

影響を受けるバージョンと修正済みバージョン
ProductVulnerable versionsPatched version
ConfigServer Security & Firewall14.00–16.2916.30+

ユーザーに対して強く推奨されるのは、回避策の適用だけで済ませるのではなく、提供されている最新の CSF リリースへアップグレードすることである。CentOS 7、CloudLinux 7、AlmaLinux、CloudLinux 8／9／10、Ubuntu ベースの導入環境について cPanel は、パッケージを更新した上で、標準のアップデート手順を実行することを推奨している。

yum clean all
/scripts/update-packages

アップデート後は、インストールされている CSF のバージョンを確認し、使用環境での MESSENGER 機能の必要性を評価すべきである。

緩和手順

直ちにアップデートできない組織は、MESSENGER サービスを無効にすることで影響を軽減できるため、管理者は SSH／WHM Terminal を使用して root として影響を受けるサーバにログインし、CSF の設定ファイルを編集する必要がある。

nano /etc/csf/csf.conf

以下のオプションを設定する。

MESSENGER = 0

設定を保存した後、CSF／Login Failure Daemon サービスを再起動する。

systemctl restart csf lfd

セキュリティチームに求められるのは、インターネットへ公開されたサーバにおける CSF の導入状況の監査／16.30 未満のバージョンを使用しているシステムの特定／MESSENGER および reCAPTCHA の設定状況の確認である。未認証の攻撃者により、この脆弱性を介したコマンド実行が可能となるため、外部公開されたシステムへのパッチ適用を、通常の保守作業より優先する必要がある。

cPanel 環境等で広く導入される ConfigServer Security & Firewall (CSF) の脆弱性 CVE-2026-65638 を解説する記事です。特定機能を有効化している場合、未認証の第三者にサービス権限でコマンドを実行される恐れがあり、システム内の偵察／データアクセス／横展開の足掛かり利用などの影響が生じます。対応策としては、16.30 以降へのアップデート／直ちに変更できない場合の MESSENGER 機能の無効化／設定後のサービス再起動が求められます。運用中のサーバーにおける導入状況の確認と迅速なパッチ適用が推奨されます。